Puntos clave
- Entender la protección de pila basada en hardware en modo kernel:
- Activar VBS y HVCI: como paso previo, abre Seguridad de Windows > Seguridad del dispositivo > Detalles del aislamiento del núcleo, pon Integridad de memoria en Activado y reinicia el dispositivo para habilitar VBS y HVCI, que son la base de esta función.
- Activar o desactivar la protección de pila basada en hardware en modo kernel:
- Método con Seguridad de Windows: abre Seguridad de Windows > Seguridad del dispositivo > Detalles del aislamiento del núcleo y cambia el interruptor de Protección de pila basada en hardware en modo kernel al estado que prefieras.
- Método con el Editor de directivas de grupo local: en el Editor de directivas de grupo local, ve a Configuración del equipo > Plantillas administrativas > Sistema > Device Guard > Activar la seguridad basada en virtualización, comprueba que VBS está habilitada, pon Protección de pila basada en hardware en modo kernel en Habilitado en modo de aplicación y haz clic en Aplicar y luego en Aceptar.
A medida que la tecnología avanza, los hackers también afinan sin descanso sus herramientas para derribar nuestros muros digitales. Por eso es fundamental conocer las defensas que tu ordenador ya trae de serie. La protección de pila basada en hardware en modo kernel es una de ellas. En este artículo veremos cómo activar y desactivar la protección de pila basada en hardware en modo kernel y otros detalles de esta función.
Hay muchas formas de reforzar tus endpoints.
Descarga esta guía de defensa de endpoints con todo lo que necesitas saber sobre seguridad de endpoints.
Activar o desactivar la protección de pila basada en hardware en modo kernel
Al activar la protección de pila basada en hardware en modo kernel, la pila sombra (shadow stack) de tu CPU empieza a verificar las direcciones de retorno del código del kernel. Así se bloquean los exploits de programación orientada al retorno (ROP) que los atacantes utilizan para secuestrar el kernel de Windows y ejecutar código malicioso. En esta sección te explicamos paso a paso cómo activar o desactivar esta función.
Requisitos previos
Antes de cambiar el estado de esta función, asegúrate de cumplir los siguientes requisitos:
Requisitos generales
- Windows 11 2022 Update o posterior
- Aplicación Seguridad de Windows versión 1000.25330.0.9000 o posterior
- Hardware compatible con Intel Control-flow Enforcement Technology (CET) o AMD Shadow Stacks
Configuración previa: activar VBS y HVCI
Antes de activar o desactivar la protección de pila basada en hardware en modo kernel, deben estar habilitadas la seguridad basada en virtualización (VBS) y la integridad de código protegida por hipervisor (HVCI).
De forma predeterminada, ambas están activadas en los sistemas Windows que cumplen los requisitos de hardware. También puedes activarlas siguiendo estos pasos:
1. Abre el menú Inicio y abre la aplicación Seguridad de Windows.
2. Ve a Seguridad del dispositivo y haz clic en Detalles del aislamiento del núcleo.
3. Busca Integridad de memoria y pon el interruptor en Activado.
4. Reinicia el dispositivo después de hacer este cambio.
Método 1: cambiar la configuración de la protección de pila basada en hardware en modo kernel desde Seguridad de Windows
La forma más directa de activar la protección de pila basada en hardware en modo kernel es a través de Seguridad de Windows. Sigue estos pasos:
1. Abre el menú Inicio y abre la aplicación Seguridad de Windows.
2. Ve a Seguridad del dispositivo y haz clic en Detalles del aislamiento del núcleo.
3. Busca la protección de pila basada en hardware en modo kernel y activa o desactiva el interruptor según lo que necesites.
Método 2: activar la protección de pila basada en hardware en modo kernel desde el Editor de directivas de grupo local
Como alternativa, los técnicos pueden activar la función con el Editor de directivas de grupo local. Es la opción ideal en entornos empresariales.
- Abre el Editor de directivas de grupo local.
- Ve a Configuración del equipo > Plantillas administrativas > Sistema > Device Guard > Activar la seguridad basada en virtualización.
- Comprueba que VBS está habilitada.
- Ve a Opciones, busca la protección de pila basada en hardware en modo kernel y selecciona Habilitada en modo de aplicación.
- Haz clic en Aplicar y luego en Aceptar.
¿Qué es la protección de pila basada en hardware en modo kernel?
En el corazón de tu sistema operativo está el kernel, que puedes imaginar como el «tronco encefálico» de tu ordenador. El kernel gestiona la comunicación entre el software y el hardware del equipo. Ahora imagina que rodeas ese tronco encefálico con una gruesa armadura. Ahí es donde entra en juego la protección de pila basada en hardware en modo kernel.
La protección de pila basada en hardware en modo kernel es una función de seguridad de Windows que refuerza el kernel frente a la programación orientada al retorno (ROP). Normalmente viene desactivada, pero los administradores de TI pueden activarla para evitar que los atacantes aprovechen determinadas vulnerabilidades de seguridad. Estos son los puntos clave que conviene tener en cuenta al activarla:
Una protección pensada específicamente para los ataques ROP
Las pilas sombra protegen frente a la programación orientada al retorno, en la que los atacantes encadenan pequeños fragmentos de código existente («gadgets») sobrescribiendo direcciones de retorno. Los ataques de programación orientada al salto (JOP) y de programación orientada a la llamada (COP) los cubre otra capacidad de Intel CET llamada Indirect Branch Tracking (IBT), que Windows no implementa actualmente, así que no conviene confiar en KMHESP para esos tipos de ataque.
Depende de la CPU, no solo del SO
La pila sombra reside en memoria protegida por la CPU, por lo que la función solo funciona en procesadores compatibles: Intel Control-flow Enforcement Technology (CET), disponible en los móviles de 11.ª generación «Tiger Lake» y posteriores, o AMD Shadow Stacks, disponible en Ryzen con arquitectura Zen 3 y posteriores.
VBS es la base de todo
La protección de pila basada en hardware en modo kernel requiere que VBS y HVCI estén habilitadas. Sin ellas por debajo, el interruptor de Seguridad de Windows aparecerá no disponible.
¿Por qué es importante la protección de pila basada en hardware en modo kernel?
Ahora que sabes qué es la protección de pila basada en hardware en modo kernel, quizá te preguntes: «¿debería activarla? La respuesta corta es que probablemente sí, por varios motivos de peso:
- Mayor seguridad frente a exploits: el modo kernel opera en el nivel más profundo de tu sistema operativo y tiene control total sobre su funcionamiento. Al activar esta protección añades una capa de seguridad que frena las técnicas de explotación más habituales, las que los atacantes usan para inyectar código malicioso aprovechando vulnerabilidades del software.
- Bloqueo de la ejecución de código no autorizado: cuando los actores maliciosos intentan secuestrar el flujo de control de tu software, la protección de pila basada en hardware en modo kernel bloquea de forma efectiva sus intentos de ejecutar código no autorizado. Actúa en el nivel básico de la CPU, más profundo de lo que pueden llegar las herramientas antimalware por sí solas.
- Integridad del sistema: proteger el funcionamiento de tu ordenador es prioritario. Activar la protección de pila basada en hardware en modo kernel garantiza que cada interacción con el kernel mantenga la integridad del sistema.
Resolución de problemas: qué hacer si no puedes activar la protección de pila basada en hardware en modo kernel
Si los pasos anteriores no te funcionan, revisa los siguientes puntos, ya que pueden ser la causa del problema:
Comprueba la integridad de memoria
Como ya hemos dicho, la función requiere que VBS y HVCI estén habilitadas. Si están desactivadas, el interruptor de la protección de pila basada en hardware en modo kernel no estará disponible. Comprueba primero en Seguridad de Windows si están activadas.
Revisa y actualiza los controladores
Los controladores obsoletos o dañados pueden impedirte activar la función:
- Abre el Administrador de dispositivos desde Este equipo > Administrar -> Administrador de dispositivos.
- Revisa los dispositivos, sobre todo en las categorías «Procesadores» y «Dispositivos del sistema».
- Haz clic con el botón derecho en el dispositivo que sospeches que causa el problema y selecciona «Actualizar controlador». También puedes visitar directamente la web del fabricante del dispositivo y descargar el controlador.
Comprueba o fuerza la configuración desde el Registro
Si gestionas dispositivos a gran escala, puedes comprobar o establecer el estado de la función desde el registro. Haz siempre una copia de seguridad del registro antes de editarlo.
- Ve a HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\KernelShadowStacks
- Comprueba el valor DWORD: si es 1, la función está activada; si es 0, está desactivada.
⚠️IMPORTANTE: cualquier cambio en el registro puede provocar problemas. Asegúrate de hacer una copia de seguridad del registro para poder deshacer los cambios.
Revisa y actualiza los controladores
Los controladores obsoletos o dañados pueden hacer que falle la activación de la protección de pila basada en hardware en modo kernel. Así puedes solucionarlo:
- Abre el Administrador de dispositivos (ve a Este equipo > Administrar -> Administrador de dispositivos).
- Revisa los dispositivos, sobre todo en las categorías «Procesadores» y «Dispositivos del sistema».
- Haz clic con el botón derecho en el dispositivo que sospeches que causa el problema y selecciona «Actualizar controlador». También puedes visitar directamente la web del fabricante del dispositivo y descargar el controlador.
Protege tus dispositivos
Activar la protección de pila basada en hardware en modo kernel es un paso clave para proteger los datos y las aplicaciones de tu ordenador. Pero es solo una de las muchas medidas que puedes tomar para mejorar la seguridad TI. Si necesitas supervisar la seguridad de varios dispositivos a la vez, plantéate usar una herramienta de gestión de endpoints potente, flexible y fiable como NinjaOne.
El software de gestión de endpoints de NinjaOne ayuda a los departamentos de TI a controlar y monitorizar los dispositivos que se utilizan en una organización. NinjaOne lo abarca todo, desde el despliegue de software y la gestión de parches hasta la monitorización y alertas, para que tengas todos tus dispositivos bajo control.
